MIRROR Ransomware

A potenciális kártevő-fenyegetések alapos elemzése után a kutatók a MIRROR-t egy ransomware-változatként azonosították. A MIRROR fenyegetés elsődleges célja a feltört eszközökön található fájlok titkosítása. Ezenkívül vállalja a fájlok átnevezését, és két váltságdíj-jegyzetet ad ki – az egyiket felugró ablak formájában, a másikat pedig „info-MIRROR.txt” nevű szövegfájlként.

A MIRROR Ransomware sajátos elnevezési konvenciót alkalmaz az általa titkosított fájlok esetében, hozzáfűzve az áldozat azonosítóját, a „tpyrcedrorrim@tuta.io” e-mail címet és a „.Mr” kiterjesztést. Például átalakítja az „1.pdf” fájlt „1.pdf.id-9ECFA74E.[tpyrcedrorrim@tuta.io].Mr”-re, a „2.png” pedig „2.png.id-9ECFA74E.[tpyrcedrorrim@” lesz. tuta.io].Mr,' és így tovább. Ezt a fenyegetést a Dharma Ransomware család egyik változataként sorolták be.

A MIRROR Ransomware túlmutat a fájltitkosításon

A fájlok titkosítása mellett a MIRROR stratégiai intézkedéseket is alkalmaz a megcélzott rendszer biztonságának további veszélyeztetése érdekében. Az egyik ilyen taktika a tűzfal letiltása, ami növeli a rendszer sebezhetőségét a zsarolóprogram által szervezett rosszindulatú tevékenységekkel szemben. Ezenkívül a MIRROR szándékosan törli az árnyékkötet-példányokat, hatékonyan kiküszöbölve a lehetséges visszaállítási pontokat és akadályozva a helyreállítási erőfeszítéseket.

A MIRROR a Remote Desktop Protocol (RDP) szolgáltatásokon belüli sebezhetőségeket használja ki a fertőzés elsődleges vektoraként. Ez jellemzően a gyenge fiók hitelesítő adatainak kihasználását jelenti olyan módszerekkel, mint a nyers erő és a szótári támadások. Ezen technikák kiaknázásával a zsarolóprogram illetéktelen hozzáférést kap a rendszerekhez, különösen azokhoz, amelyek nem megfelelően kezelték a fiókbiztonságot.

Ezenkívül a MIRROR képes helyadatok kinyerésére, lehetővé téve a fertőzött rendszerek földrajzi környezetének felismerését. Nevezetesen, hogy képes előre meghatározott helyeket kizárni az adatkinyerési hatóköréből. Ezenkívül a MIRROR perzisztencia-mechanizmusokat is tartalmaz, amelyek biztosítják, hogy hosszabb ideig meg tudja tartani a lábát a kompromittált rendszeren belül.

A MIRROR Ransomware áldozatait pénzért zsarolják ki

A MIRROR Ransomware váltságdíj-jegyzete a támadók és az áldozat felé irányuló kommunikációként szolgál, kifejezetten kijelentve, hogy az áldozat összes fájlja titkosításon esett át. Felvázolja a fájl-visszaállítás lehetséges útját, utasítja az áldozatot, hogy egy megadott e-mail címen (tpyrcedrorrim@tuta.io) kezdeményezze a kapcsolatfelvételt, és megad egy egyedi azonosítót.

Alternatív kommunikációs eszközként a jegyzet egy másik e-mail címet is megad (mirrorrorrim@cock.li). Nevezetesen, a feljegyzés határozottan elutasítja a közvetítők használatát a kommunikációhoz, olyan lehetséges kockázatokra hivatkozva, mint a túlterhelés, az indokolatlan terhelés és a tranzakciók elutasítása. A támadók kijelentik, hogy képesek titkosított adat-helyreállítási szolgáltatásokat nyújtani, és garanciákat kínálnak, ideértve egy helyreállítási bemutatót, amely legfeljebb három fájlt tartalmaz, hogy alátámassza szakértelmüket.

Ezen túlmenően, a váltságdíj feljegyzése figyelmeztető jelzést ad az áldozatnak, kifejezetten a titkosított fájlok átnevezésétől védve. Figyelmeztet továbbá a harmadik féltől származó szoftvereken keresztüli visszafejtési kísérletektől, hangsúlyozva az állandó adatvesztés vagy a csalásokra való hajlam lehetséges következményeit. A cél az, hogy az áldozatot a legbiztonságosabb cselekvési módra irányítsa, hogy maximalizálja a sikeres fájl-helyreállítás esélyét, miközben minimalizálja a lehetséges kockázatokat.

Tegyen intézkedéseket, hogy megvédje eszközeit a Ransomware fertőzésektől

A zsarolóprogramok jelentős veszélyt jelentenek a digitális eszközök biztonságára nézve, lehetséges következményei az adatvesztéstől a pénzügyi zsarolásig terjedhetnek. A proaktív intézkedések végrehajtása kulcsfontosságú az eszközök ilyen fertőzésekkel szembeni védelme érdekében. Íme öt hatékony lépés, amelyet a felhasználók megtehetnek:

• Az operációs rendszerek és szoftverek rendszeres frissítése : Az operációs rendszerek és szoftverek naprakészen tartása létfontosságú, mivel a frissítések gyakran tartalmaznak biztonsági javításokat, amelyek kiküszöbölik a sebezhetőséget. Rendszeresen ellenőrizze és alkalmazza a frissítéseket, hogy csökkentse az ismert gyengeségeket kihasználó zsarolóprogramok kockázatát.
• Biztonsági szoftver telepítése és karbantartása : A megbízható biztonsági szoftverek további védelmet nyújtanak a zsarolóvírusok ellen. Gondoskodjon arról, hogy a kártevő-elhárító program rendszeresen frissüljön, és hajtson végre ütemezett vizsgálatokat a potenciális fenyegetések észlelésére és kiküszöbölésére, mielőtt azok feltörhetik eszközét.
• Legyen óvatos az e-mail mellékletekkel és hivatkozásokkal : A zsarolóvírusok gyakran rosszindulatú mellékleteket vagy hivatkozásokat tartalmazó adathalász e-maileken keresztül hatolnak be a rendszerekbe. Legyen nagyon óvatos, amikor ismeretlen feladótól származó e-maileket nyit meg, próbáljon meg ne kattintani a gyanús linkekre, és tartózkodjon a mellékletek letöltésétől, hacsak nem igazolják azok jogosságát.
• Az adatok rendszeres biztonsági mentése : A lényeges adatok rendszeres biztonsági mentése kritikus megelőző intézkedés. A zsarolóvírus-támadások során a legutóbbi biztonsági mentések lehetővé teszik a felhasználók számára, hogy visszaállítsák fájljaikat anélkül, hogy engednének a zsarolásnak. Tárolja a biztonsági másolatokat egy külső eszközön vagy egy biztonságos felhőszolgáltatásban.
• Hálózatbiztonsági intézkedések végrehajtása : A hálózati biztonság megerősítése meghiúsíthatja a ransomware támadásokat. Használjon tűzfalakat és behatolásjelző/megelőző rendszereket, használjon egyedi és erős jelszavakat minden eszközhöz és fiókhoz, és fontolja meg a hálózatok szegmentálását, hogy korlátozza a fertőzések lehetséges hatását a teljes rendszerre.

Ezen intézkedések elfogadásával a felhasználók jelentősen növelhetik eszközeik ellenálló képességét a zsarolóvírusokkal szemben, megóvhatják értékes adataikat és megőrizhetik digitális környezetük integritását.

A MIRROR Ransomware által hagyott fő váltságdíj teljes szövege a következő:

'MIRROR
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: tpyrcedrorrim@tuta.io YOUR ID 9ECFA84E
If you have not answered by mail within 12 hours, write to us by another mail:mirrorrorrim@cock.li
We strongly recommend that you do not use the services of intermediaries and first check the prices and conditions directly with us.The use of intermediaries may involve risks such as:
-Overcharging: Intermediaries may charge inflated prices, resulting in improper additional costs to you.
-Unjustified debit: There is a risk that your money may be stolen by intermediaries for personal use and they may claim that we did it.
-Rejection of the transaction and termination of communication: Intermediaries may refuse to cooperate for personal reasons, which may result in termination of communication and make it difficult to resolve issues.
We understand that data loss can be a critical issue, and we are proud to provide you with encrypted data recovery services. We strive to provide you with the highest level of confidence in our abilities and offer the following guarantees:
---Recovery demo: We provide the ability to decrypt up to three files up to 5 MB in size on a demo basis.
Please note that these files should not contain important and critical data.
Demo recovery is intended to demonstrate our skills and capabilities.
---Guaranteed Quality: We promise that when we undertake your data recovery, we will work with the utmost professionalism and attention to detail to ensure the best possible results.
We use advanced technology and techniques to maximize the likelihood of a successful recovery.
---Transparent communication: Our team is always available to answer your questions and provide you with up-to-date information about the data recovery process.
We appreciate your participation and feedback.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'

A MIRROR Ransomware által elejtett szövegfájl a következő üzenetet tartalmazza:

'Minden adatodat zároltuk

Vissza akarsz térni?

írj e-mailt tpyrcedrorrim@tuta.io vagy mirrorrorrim@cock.li'